Mi pc inicia siempre como 1er vez (SOLUCIONADO)

Cleoh · Mensaje por **Cleoh** » 10 Ago 2005, 18:38

Hola, por favor ayuda

cada vez que inicio mi pc, arranca Windows como si recien lo hubiera instalado, por ejemplo, comienza con "un paseo por windows",

el teclado queda totalmente desconfigurado, por eso no escribo con tildes ni dos puntos, ni parentesis, no los encontre.

en explorer elimina las direcciones bloqueadas

la barra de inicio rapida desaparece aunque la haya configurado antes de cerrar

y asi con todo

Ademas,

tambien pasa que cuando se esta usando un programa a ventana completa, cada tanto se minimiza la ventana

El incredimail, webshots, stylexp, la impresora en ciertos programas, se desinstalan

En fin varias cosas.

Trojanos que encontre, windir32, pokapoka62

elimine el pokapoka pero parece que todo sigue igual

Aqui esta el hijacthis para que lo miren

Diganme, el schvost es un virus o algo de win

Pego mi log

Logfile of HijackThis v1.99.1

Scan saved at 12:09:46, on 10/08/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

E:\Todo contra espias y virus\Hijack This\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - Default URLSearchHook is missing

O1 - Hosts: localhost 127.0.0.1

O4 - HKLM\..\Run: [NAV Agent] C:\ARCHIV~1\NORTON~1\NORTON~1\navapw32.exe

O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [Microsoft Update 64 BIT] schvost.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [System service62] C:\WINDOWS\etb\pokapoka62.exe

O4 - HKLM\..\RunServices: [Microsoft Update 64 BIT] schvost.exe

O4 - Startup: Webshots.lnk = C:\Archivos de programa\Webshots\Launcher.exe

O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\ARCHIV~1\DAP\DAP.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll

O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab

O16 - DPF: {4F5E4276-C120-11D6-A1FD-00508B9D48EA} (dldisplay Class) - http://www.gamehouse.com/ghdlctl.cab

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/asa/SymAData.cab

O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{171BBB3F-AE21-4655-BD0F-328208D51AC2}: NameServer = 195.95.218.1,85.255.112.7

O17 - HKLM\System\CCS\Services\Tcpip\..\{D18D5692-5A68-42E8-A512-5E15F8DC9E2A}: NameServer = 195.95.218.1,85.255.112.7

O17 - HKLM\System\CS1\Services\Tcpip\..\{171BBB3F-AE21-4655-BD0F-328208D51AC2}: NameServer = 195.95.218.1,85.255.112.7

O17 - HKLM\System\CS2\Services\Tcpip\..\{171BBB3F-AE21-4655-BD0F-328208D51AC2}: NameServer = 195.95.218.1,85.255.112.7

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Archivos de programa\Norton SystemWorks\Norton Utilities\NPROTECT.EXE

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\ARCHIV~1\NORTON~1\SPEEDD~1\nopdb.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

Gracias desde ya

Mensaje por **maura63** » 10 Ago 2005, 18:47

Pasa estas utilidades, en elitrip acepta que bloquee el intento de intrusion.

UTILIDADES

ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Para eliminar las 010 por si tienes problemas con internet

LSPFIX

[size=150][color=darkblue]~~[b]~~Solucion a los problemas de conexion a Internet (LSP)[/b][/color][/size]

Hay Anti-spyware que rompe, borra o modifica el Winsock por Layered Service Provider (LSP), lo que origina que no se pueda conectar a Internet, os presentamos un problema que suele solventar este problema, muy aconsejable leer el manual.

· [url=http://www.zonavirus.com/descargas/lsp-fix.asp]~~[b]~~Descargar LSP-FIX[/b][/url]

· [url=http://www.zonavirus.com/articulos/manual-lsp-fix.asp]~~[b]~~Manual LSP-FIx[/b][/url] (Español)

Luego descarga el SP1

INSTALACION DEL SP1 PARA PODER INSTALAR SP2:

http://www.microsoft.com/en/us/default.aspxwindowsxp/downloads/updates/sp1/default.mspx

(SE DEBE ESCOGER IDIOMA...)

despues conecta con windows update y baja el SP2 mas parches.

Tu sistema no lo has actualizado nunca.

tu log

Logfile of HijackThis v1.99.1

Scan saved at 12:09:46, on 10/08/2005

Platform: [color=red]Windows XP [/color](WinNT 5.01.2600)

MSIE: Internet [color=red]Explorer v6.00 [/color](6.00.2600.0000)

y deben quedar asi

Windows XP sp2

MSEI: Internet explorer v6.00 SP2

Saludos

maura63

Mensaje por **msc hotline sat** » 10 Ago 2005, 19:56

Además de lo indicado, conviene eliminar, seleccionandolas y dandoles FIX:

R3 - Default URLSearchHook is missing

O16 - DPF: {4F5E4276-C120-11D6-A1FD-00508B9D48EA} (dldisplay Class) - http://www.gamehouse.com/ghdlctl.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

y esta es del Downloader acelerator, pero es muy recomendable eliminarla o desinstalarlo:

O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\ARCHIV~1\DAP\DAP.EXE

Otras claves como las 010 deben desaparecer al lanzar el LPS-FIX como ya le ha indicado maura63

tras ello cuentanos si han desaparecido los problemas, como respuesta de este Tema, gracias

saludos

ms, 10-08-2005

Mensaje por **msc hotline sat** » 29 Ago 2005, 20:22

A pesar de haber quedado solucionado, como que en revision rutinaria he visto que habían quedado restos de claves que podían ralentizarte el equipo, añado que conviene eliminar además, estas dos claves:

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Si lo lees, hazlo, y sino, ahí queda para la posterioridad.

saludos

ms, 29-08-2005

Cleoh · Mensaje por **Cleoh** » 29 Ago 2005, 23:05

Muchas gracias!!

voy a ver mi log actual y si está lo elimino

gracias otra vez

Mensaje por **msc hotline sat** » 30 Ago 2005, 06:23

De estar, estaban, y si no las has eliminado, seguiran estando.

Tras eliminarlas. informanos si has notado mejora de velocidad, como es de esperar

Corresponden al adware ALEXA, que ahora tambien es detectado y eliminado por el AD_AWARE o el SPYBOT.

saludos

ms, 30-08-2005

Cleoh · Mensaje por **Cleoh** » 30 Ago 2005, 19:28

hola, estaban y los eliminé.

Te mando mi nuevo log. Fijate si ves algo raro

Logfile of HijackThis v1.99.1

Scan saved at 14:27:08, on 30/08/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Norton SystemWorks\Norton Utilities\NPROTECT.EXE

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\ARCHIV~1\NORTON~1\SPEEDD~1\nopdb.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\ARCHIV~1\NORTON~1\NORTON~1\navapw32.exe

C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe

C:\Archivos de programa\DU Meter\DUMeter.exe

C:\Archivos de programa\DAP\DAP.EXE

C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe

C:\Archivos de programa\BitComet\BitComet.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe

C:\ARCHIV~1\Webshots\webshots.scr

C:\Archivos de programa\Microsoft AntiSpyware\gcasDtServ.exe

C:\ARCHIV~1\INCRED~1\bin\IMApp.exe

C:\Archivos de programa\IncrediMail\bin\IncMail.exe

C:\Archivos de programa\Maxthon\Maxthon.exe

C:\WINDOWS\System32\wbem\wmiapsrv.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Documents and Settings\Rosanna Chiocconi\Escritorio\Los limpiadores\Hijack This\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.webshots.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: DownloadRedirect Class - {00000000-6CB0-410C-8C3D-8FA8D2011D0A} - C:\Archivos de programa\iMesh\iMesh5\iMeshBHO.dll

O2 - BHO: iMeshBar BHO - {5345A7A1-805A-4923-B505-86B2FEBA3FE0} - C:\Archivos de programa\iMeshBar\bar\10.bin\IMESHBAR.DLL

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Archivos de programa\Siber Systems\AI RoboForm\roboform.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Archivos de programa\TGTSoft\StyleXP\TGT_BHO.dll

O3 - Toolbar: iMeshBar - {5345A7A9-805A-4923-B505-86B2FEBA3FE0} - C:\Archivos de programa\iMeshBar\bar\10.bin\IMESHBAR.DLL

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Archivos de programa\Siber Systems\AI RoboForm\roboform.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [NAV Agent] C:\ARCHIV~1\NORTON~1\NORTON~1\navapw32.exe

O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [DU Meter] C:\Archivos de programa\DU Meter\DUMeter.exe

O4 - HKLM\..\Run: [DownloadAccelerator] "C:\Archivos de programa\DAP\DAP.EXE" /STARTUP

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [IncrediMail] C:\Archivos de programa\IncrediMail\bin\IncMail.exe /c

O4 - HKCU\..\Run: [BitComet] "C:\Archivos de programa\BitComet\BitComet.exe"

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [RoboForm] "C:\Archivos de programa\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe"

O4 - Startup: Webshots.lnk = C:\Archivos de programa\Webshots\Launcher.exe

O8 - Extra context menu item: &Búsqueda en Google - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Download with &DAP - C:\Archivos de programa\DAP\dapextie.htm

O8 - Extra context menu item: &Traducir palabra inglesa - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Download &all with DAP - C:\Archivos de programa\DAP\dapextie2.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Guardar Formularios - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComSavePass.html

O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Personalizar Menú - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html

O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Rellenar Formularios - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComFillForms.html

O8 - Extra context menu item: RF Barra de Herramientas - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html

O9 - Extra button: Rellenar Formularios - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComFillForms.html

O9 - Extra 'Tools' menuitem: Rellenar Formularios - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComFillForms.html

O9 - Extra button: Guardar - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComSavePass.html

O9 - Extra 'Tools' menuitem: Guardar Formularios - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComSavePass.html

O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html

O9 - Extra 'Tools' menuitem: RF Barra de Herramientas - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html

O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/asa/SymAData.cab

O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{171BBB3F-AE21-4655-BD0F-328208D51AC2}: NameServer = 195.95.218.18,85.255.112.11

O17 - HKLM\System\CCS\Services\Tcpip\..\{8A021439-4295-41F3-B957-39EDC652BE07}: NameServer = 195.95.218.18,85.255.112.11

O17 - HKLM\System\CS1\Services\Tcpip\..\{171BBB3F-AE21-4655-BD0F-328208D51AC2}: NameServer = 195.95.218.18,85.255.112.11

O17 - HKLM\System\CS2\Services\Tcpip\..\{171BBB3F-AE21-4655-BD0F-328208D51AC2}: NameServer = 195.95.218.18,85.255.112.11

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Archivos de programa\Norton SystemWorks\Norton Utilities\NPROTECT.EXE

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\ARCHIV~1\NORTON~1\SPEEDD~1\nopdb.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

Chau, gracias

Mensaje por **msc hotline sat** » 01 Sep 2005, 14:39

Las anteriores las has eliminado, pero con el IMESH

O2 - BHO: DownloadRedirect Class - {00000000-6CB0-410C-8C3D-8FA8D2011D0A} - C:\Archivos de programa\iMesh\iMesh5\iMeshBHO.dll

Elimina esta clave y el fichero al que llama.

El actual ELISTARA ya lo controla y elimina

y asi seguirás si usas P2P, y tambien segun por donde navegues y si te olvidas de actualizar parches, como he visto que estas, SIN NINGUN PARCHE !!!

Obra segun lo indicado y doy el Tema por solucionado y procedemos a cerrarlo

saludos

ms, 1-09-2005